NCSC e partner internazionali indicano «Russia-based actors»; nella stessa pagina si citano precedenti attribuiti ad APT31, Star Blizzard e all'IRGCmedium
Non ti rubano il telefono: aggiungono il loro accanto al tuo
Il National Cyber Security Centre britannico, insieme a partner internazionali, ha pubblicato un avviso su una tecnica che non assomiglia a un attacco informatico: convincere una persona a collegare un dispositivo in più al proprio account di messaggistica. Il telefono resta in tasca, la password non serve, nessun malware viene installato — e da quel momento qualcun altro legge i messaggi che arrivano. Gli strumenti sono un codice di verifica chiesto con garbo e un QR code inquadrato senza pensarci. La contromisura più efficace è una schermata che quasi nessuno ha mai aperto: l'elenco dei dispositivi collegati.
Un attacco che non sembra un attacco
Quasi tutto quello che sappiamo sulla sicurezza dei nostri account presuppone un ladro: qualcuno che entra al posto vostro, usando qualcosa che vi ha sottratto. Password rubate, sessioni dirottate, telefoni persi.
La tecnica descritta dal National Cyber Security Centre britannico, insieme a partner internazionali, funziona diversamente. Nessuno entra al vostro posto, perché nessuno ha bisogno di uscire. Il dispositivo dell'attaccante viene semplicemente aggiunto accanto al vostro, e da lì in poi ricevono ciò che ricevete voi.
L'NCSC lo dice in modo diretto: si osserva «growing malicious activity from Russia-based actors using messaging apps to target high-risk individuals». Nella stessa pagina l'Agenzia ricorda i propri precedenti su attività contro account di funzionari governativi attribuite ad APT31 (Cina), a Star Blizzard (riferito all'FSB russo) e ai Guardiani della rivoluzione iraniani.
Che cos'è un dispositivo collegato
Le app di messaggistica moderne permettono di usare lo stesso account su più apparecchi: il telefono, il computer dell'ufficio, il tablet. Il collegamento si fa quasi sempre in un modo solo — si inquadra un QR code, oppure si inserisce un codice.
È una funzione comoda e legittima. Ma ha tre caratteristiche che la rendono ideale per chi vuole leggere le vostre conversazioni.
È silenziosa. Una volta collegato, il dispositivo non si annuncia. Non manda notifiche, non compare in cima allo schermo, non fa vibrare niente.
È persistente. Non scade a fine giornata. Resta finché qualcuno non lo rimuove — e per rimuoverlo bisogna prima sapere che c'è.
Non richiede il vostro telefono. Il vostro apparecchio continua a funzionare identico. Nessun sintomo, nessun rallentamento, nessuna app strana installata.
- 01La richiestaun codice di verifica chiesto con un pretesto credibile, o un QR code da inquadrare
- 02Il collegamentoil dispositivo dell'attaccante entra fra i vostri, senza avvisi
- 03La persistenzaresta lì e legge i messaggi in arrivo, finché non lo si toglie a mano
Le cinque mosse elencate dall'NCSC
L'avviso elenca in modo esplicito cosa gli attaccanti possono tentare: «trick you into sharing login or account recovery codes; add their own device to your account without you noticing; join group chats without detection; impersonate someone you know; phish you using malicious links or QR codes».
Vale la pena notare che non c'è una sola vulnerabilità software in quell'elenco. Nessuna app viene bucata. Tutte e cinque le voci passano attraverso una decisione presa da una persona in buona fede: leggere un codice a voce, inquadrare un'immagine, rispondere a un contatto che sembra noto.
Le due centrali, e più difficili da riconoscere, sono la terza e la quarta. Entrare in un gruppo senza essere notati: in una chat di venti persone, un partecipante in più non salta all'occhio, e nessuno controlla l'elenco. Impersonare qualcuno che conoscete: non serve rubare l'account di quella persona, basta un profilo con lo stesso nome e la stessa foto, e la conversazione riparte da zero come se il numero fosse cambiato.
Chi è «a rischio elevato», e perché forse siete voi
La formula suona come qualcosa che riguarda ministri e ambasciatori. La definizione dell'NCSC è più larga e più utile: potete essere una persona a rischio elevato se «your work or public status means you have access to, or influence over, sensitive information that could be of interest to threat actors».
Sono due criteri, e il secondo è quello sottovalutato: accesso oppure influenza. Non serve custodire un segreto: basta poter chiedere qualcosa a chi lo custodisce, ed essere creduti. In un'organizzazione, le persone che rientrano in questa definizione sono molte più di quante compaiano in un organigramma — l'assistente che fissa gli incontri, il tecnico che ha le credenziali, il collaboratore esterno che partecipa alle chat interne.
Cosa fare, in concreto
L'NCSC elenca azioni precise. Le riportiamo con la traduzione operativa.
Non condividete codici di verifica e non inquadrate QR code inattesi. È la regola che copre da sola la maggior parte dei casi. Un codice di verifica non si detta al telefono, non si inoltra, non si legge a voce nemmeno a qualcuno che sembra il vostro collega. Un QR code arrivato in chat è una cosa che si guarda, non si inquadra.
Attivate la verifica in due passaggi. Su Signal si chiama Registration Lock, nelle impostazioni. Serve a impedire che il vostro numero venga registrato altrove da chi ha intercettato un solo codice.
Attivate le passkey dove disponibili.
Controllate periodicamente i dispositivi collegati. È la contromisura che vale più di tutte le altre messe insieme, e richiede trenta secondi: nelle impostazioni dell'app, la voce che elenca i dispositivi con accesso all'account. Se ce n'è uno che non riconoscete, va rimosso. L'NCSC estende il consiglio ai gruppi: rivedere i partecipanti e verificare in modo indipendente chi non si riconosce — cioè con una telefonata, non chiedendolo nella chat stessa.
Diffidate delle impersonificazioni e dei contatti doppi. Il segnale più leggibile è proprio quello: la stessa persona che compare due volte in rubrica o in un gruppo.
Non usate la messaggistica personale per informazioni sensibili. Per il lavoro, dice l'NCSC, vanno usati «corporately provided messaging services and devices where available».
Sui vostri account personali attivate i messaggi che si autodistruggono. La logica è di riduzione del danno: limita ciò che un attaccante riuscito può leggere. Con un caveat che l'NCSC scrive esplicitamente, e che vale soprattutto in ambito professionale: bisogna tenere conto degli obblighi di conservazione dei documenti che vi riguardano.
La cosa da portarsi via
C'è un motivo per cui questa tecnica funziona su persone competenti: non chiede di fare nulla di sbagliato. Chiede di fare, in un momento sbagliato e con la persona sbagliata, una cosa che si fa normalmente decine di volte — leggere un codice, inquadrare un quadratino, accettare un contatto.
Per questo l'unica difesa robusta non è il sospetto permanente, che nessuno riesce a mantenere. È un'abitudine: guardare ogni tanto chi è collegato ai vostri account. Non serve saper riconoscere un attacco. Serve solo aver aperto quella schermata almeno una volta, e sapere che esiste.
Cosa non è pubblico
L'avviso è una comunicazione di sicurezza rivolta a un pubblico ampio, non un report tecnico: non contiene indicatori di compromissione, non descrive campagne specifiche e non quantifica vittime. L'attribuzione, sul piano generale, indica attori con base in Russia; i riferimenti ad APT31, Star Blizzard e IRGC citati nella stessa pagina si riferiscono a attività precedenti documentate dall'NCSC, non necessariamente a questa. Le voci di menu e i nomi delle impostazioni citati valgono per le versioni delle app al momento della pubblicazione: le posizioni cambiano, la funzione da cercare no.
